Auftragsverarbeitungsvertrag (DPA) Schweiz

Der Auftragsverarbeitungsvertrag (DPA) ist ein in der Schweiz nach Revidiertes Datenschutzgesetz (DSG, SR 235.1, in Kraft seit 1.9.2023) Art. 9 (Auftragsverarbeitung), Art. 6, 8, 16, 22-28 geregeltes rechtsverbindliches schriftliches Dokument. Er regelt die Pflichten der Parteien, die Gegenleistung, die Laufzeit und die Rechte bei Pflichtverletzung.

Der Auftragsverarbeitungsvertrag Schweiz unterscheidet zwischen dem Verantwortlichen (Controller) — der Person oder Organisation, die Zweck und Mittel der Datenbearbeitung bestimmt (DSG Art. 5 lit. j) — und dem Auftragsverarbeiter (Processor) — der Person oder Organisation, die Personendaten im Auftrag des Verantwortlichen bearbeitet (DSG Art. 5 lit. k). Typische Auftragsverarbeitungsverhältnisse in der Schweiz: Ein Unternehmen (Verantwortlicher) nutzt eine cloudbasierte Lohnbuchhaltungssoftware (Auftragsverarbeiter). Eine Arztpraxis überträgt Patientendaten an ein externes Archivierungsunternehmen. Ein Onlineshop nutzt externe Zahlungsdienstleister (Stripe, Datatrans) für Kreditkartenzahlungen. Ein KMU nutzt Google Workspace oder Microsoft 365 für E-Mail und Dokumentenverwaltung.

Die wichtigsten Neuerungen des revidierten DSG für den Auftragsverarbeitungsvertrag Schweiz im Vergleich zum alten DSG von 1992: Erstmals explizite gesetzliche Verankerung der Auftragsverarbeitungspflichten in DSG Art. 9. Ausdrückliche Pflicht zur schriftlichen Beauftragung des Auftragsverarbeiters (DSG Art. 9 Abs. 1). Pflicht zur Sicherstellung, dass der Auftragsverarbeiter geeignete technische und organisatorische Massnahmen (TOM) nach DSG Art. 8 und DSV Art. 1-4 trifft. Meldepflicht bei Verletzungen der Datensicherheit (Datenpannen) an den Verantwortlichen innert 24 Stunden. Pflicht zur Vorabkonsultation beim EDÖB bei Hochrisiko-Bearbeitungen nach DSG Art. 23. Erweiterter Auskunftsanspruch betroffener Personen nach DSG Art. 25.

Für Unternehmen, die Personendaten von EU-Bürgern bearbeiten oder einen Auftrag von einem EU-Unternehmen erhalten, gilt zusätzlich die DSGVO. DSGVO Art. 28 definiert weitgehend identische Anforderungen an den Auftragsverarbeitungsvertrag wie DSG Art. 9 — sodass ein gut ausgearbeiteter Auftragsverarbeitungsvertrag Schweiz in der Regel auch den DSGVO-Anforderungen genügt. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) — mit Sitz in Bern, Feldeggweg 1 — ist die zuständige Aufsichtsbehörde für den Vollzug des DSG. Bussgelder nach DSG Art. 60-66 betragen bis CHF 250'000.- bei Vorsatz und richten sich gegen natürliche Personen in der Unternehmensführung, nicht gegen die juristische Person selbst — dies unterscheidet das Schweizer DSG vom DSGVO-Regime der EU. Gemäss EDÖB-Statistik 2023/2024 haben die Anfragen und Meldungen nach Inkrafttreten des nDSG erheblich zugenommen, was die Relevanz eines rechtssicheren Auftragsverarbeitungsvertrags Schweiz unterstreicht.

Der Auftragsverarbeitungsvertrag Schweiz ist abzuschliessen, sobald ein Dritter Personendaten für ein Unternehmen bearbeitet:

Erste Situation: Cloud-Dienste und SaaS-Anwendungen. Jedes Mal, wenn ein Schweizer Unternehmen einen cloudbasierten Dienst nutzt, der Zugriff auf Personendaten hat, braucht es einen Auftragsverarbeitungsvertrag Schweiz nach DSG Art. 9 (nDSG, SR 235.1). Dazu gehören Office-365 und Google Workspace (E-Mail, Dokumente mit Personendaten), CRM-Systeme (Salesforce, HubSpot), HR-Systeme (Personio, SAP SuccessFactors), Lohnbuchhaltungssoftware (Abacus, Sage), Videokonferenz-Tools (Zoom, Teams) mit Meeting-Aufzeichnungen, E-Mail-Marketing-Plattformen (Mailchimp, HubSpot Marketing). Ohne Auftragsverarbeitungsvertrag Schweiz verstösst das Unternehmen als Verantwortlicher gegen DSG Art. 9 — selbst wenn der SaaS-Anbieter technisch einwandfreien Datenschutz gewährleistet.

Zweite Situation: Outsourcing von IT und Rechenzentrumsbetrieb. Betreibt ein externes IT-Unternehmen die Server und Netzwerkinfrastruktur eines Schweizer Unternehmens und hat dabei Zugriff auf Systeme mit Personendaten, liegt ein Auftragsverarbeitungsverhältnis nach DSG Art. 9 vor. Der Auftragsverarbeitungsvertrag Schweiz muss abgeschlossen werden, bevor der IT-Dienstleister Zugriff auf Personendaten erhält. Eine rückwirkende Nacherfassung des DPA reicht nicht aus, wenn in der Zwischenzeit eine Datenpanne aufgetreten ist.

Dritte Situation: Externe Lohnverarbeitung und Buchhaltung. Übergibt ein Unternehmen die Lohnverarbeitung an ein externes Treuhandbüro oder eine Buchhaltungsgesellschaft, verarbeitet dieses Drittunternehmen schützenswerte Personendaten der Mitarbeitenden (Lohnhöhe, Sozialversicherungsnummer AHV, IBAN-Bankverbindung, Abwesenheiten, Kinderzulagen). Gemäss DSG Art. 5 lit. c sind Lohndaten als schützenswerte Personendaten zu qualifizieren, wenn sie Rückschlüsse auf wirtschaftliche Verhältnisse erlauben. Ein Auftragsverarbeitungsvertrag Schweiz ist zwingend, bevor die erste Lohnabrechnung an das Treuhandbüro übergeben wird.

Vierte Situation: Marketing- und CRM-Agenturen. Beauftragt ein Unternehmen eine Marketingagentur mit E-Mail-Marketing, Zielgruppenanalyse, Retargeting oder Lead-Generierung und übergibt ihr Kundendaten oder Abonnentenlisten, verarbeitet die Agentur diese Personendaten im Auftrag. Der Auftragsverarbeitungsvertrag Schweiz regelt Umfang (welche Datenkategorien), Sicherheit (technische Massnahmen) und das Ende der Bearbeitung (Löschung nach Kampagnenende). EDÖB-Empfehlung: Marketingdaten sollten nur so lange durch Dritte bearbeitet werden, wie die Kampagne aktiv ist.

Fünfte Situation: Sicherheitsdienstleister mit Personenbezug. Biometrische Zutrittssysteme, Videoüberwachungsanlagen und Sicherheitsdienste, die Personendaten (Kameradaten, biometrische Zugangsdaten) für ein Unternehmen verarbeiten, erfordern einen Auftragsverarbeitungsvertrag Schweiz. Biometrische Daten und Videoüberwachungsdaten sind besonders schützenswerte Personendaten nach DSG Art. 5 lit. c — erhöhte Sicherheitsanforderungen und eine Datenschutz-Folgenabschätzung (DSFA) nach DSG Art. 22 sind häufig zwingend erforderlich. Kantonale Datenschutzbehörden können für Videoüberwachung an öffentlich zugänglichen Orten zusätzliche Bewilligungspflichten auferlegen.

Sechste Situation: Gesundheits- und Sozialwesen. Spitäler, Arztpraxen, Kitas und Sozialinstitutionen, die externe Dienstleister (z.B. für elektronische Patientenakten, Abrechnungsdienste, Telediagnostik) einsetzen, müssen einen Auftragsverarbeitungsvertrag Schweiz abschliessen. Gesundheitsdaten sind nach DSG Art. 5 lit. c besonders schützenswert. Zusätzlich gelten kantonale Datenschutzgesetze und Spitalgesetze sowie berufsrechtliche Geheimhaltungspflichten nach MedBG (SR 811.11) und ZGB Art. 28.

Ein wirksamer Auftragsverarbeitungsvertrag Schweiz nach DSG Art. 9 muss folgende Kernelemente enthalten:

Beschreibung der Datenbearbeitung: Der Auftragsverarbeitungsvertrag Schweiz muss den Gegenstand, die Dauer, die Art und den Zweck der Bearbeitung, die Art der Personendaten sowie die Kategorien betroffener Personen beschreiben (DSG Art. 9 Abs. 1). Für besonders schützenswerte Personendaten nach DSG Art. 5 lit. c (Gesundheitsdaten, biometrische Daten, genetische Daten, Daten über religiöse oder politische Ansichten, Strafregisterdaten, Betreibungsdaten) gelten erhöhte Anforderungen und in vielen Fällen ist eine DSFA nach DSG Art. 22 zwingend.

Weisungsgebundenheit: Der Auftragsverarbeiter darf Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen bearbeiten (DSG Art. 9 Abs. 2 lit. b). Eigenständige Bearbeitungen zu anderen Zwecken sind verboten. Der Auftragsverarbeiter muss den Verantwortlichen informieren, wenn er eine Weisung für rechtswidrig hält (DSG Art. 9 Abs. 2 lit. b). Weisungen sollten schriftlich oder in dokumentierter elektronischer Form erteilt werden.

Technische und organisatorische Massnahmen (TOM): Der Auftragsverarbeitungsvertrag Schweiz muss geeignete TOM nach DSG Art. 8 und DSV Art. 1-4 verpflichten: Pseudonymisierung und Verschlüsselung (AES-256 oder gleichwertig), Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, rasche Wiederherstellungsfähigkeit nach Zwischenfällen (Recovery Time Objective, RTO), regelmässige Tests und Evaluierungen der TOM, Zugriffskontrollen nach Least-Privilege-Prinzip. Die Massnahmen müssen dem Risiko der Bearbeitung angemessen sein.

Vertraulichkeitsverpflichtung: Alle Personen, die Zugang zu den Personendaten haben, müssen zur Vertraulichkeit verpflichtet werden (DSG Art. 9 Abs. 2 lit. a). Dies gilt für Mitarbeitende, Freiberufler und sonstige Beauftragte des Auftragsverarbeiters. Verpflichtungserklärungen sollten schriftlich eingeholt und dem Verantwortlichen auf Anfrage vorgelegt werden können.

Subauftragsverarbeiter-Regelung: Der Einsatz von Subauftragsverarbeitern bedarf der Zustimmung des Verantwortlichen (DSG Art. 9 Abs. 2 lit. d). Der Auftragsverarbeiter muss Subauftragsverarbeitern dieselben Datenschutzpflichten auferlegen wie ihm selbst. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung durch seine Subauftragsverarbeiter. Eine aktuelle Liste aller Subauftragsverarbeiter mit Rechenzentrumsstandort ist dem Auftragsverarbeitungsvertrag Schweiz als Anhang beizufügen.

Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten nach DSG Art. 25-28 (Auskunftsrecht, Recht auf Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenportabilität) und bei Datenschutz-Folgenabschätzungen (DSFA) nach DSG Art. 22. Die Unterstützungspflicht umfasst die Bereitstellung von Informationen zu Bearbeitungsprozessen, TOM-Dokumentation und Risikoeinschätzungen innerhalb von 10 Arbeitstagen.

Datenpannenmeldung: Der Auftragsverarbeiter meldet Verletzungen der Datensicherheit dem Verantwortlichen innert 24 Stunden nach Bekanntwerden, damit dieser die Meldepflicht an den EDÖB nach DSG Art. 24 fristgerecht erfüllen kann (72 Stunden). Die Meldung enthält: Art der Verletzung, betroffene Datenkategorien, Personenanzahl, wahrscheinliche Folgen, ergriffene Massnahmen, Kontaktperson beim Auftragsverarbeiter.

Auditrecht und Nachweispflicht: Der Verantwortliche hat das Recht auf Audits beim Auftragsverarbeiter (mindestens einmal jährlich, alternativ Zertifizierungsnachweis ISO 27001 oder SOC 2 Typ II). Der Auftragsverarbeiter stellt alle zur Nachweisführung erforderlichen Informationen bereit. forms-legal.com stellt den vollständigen DPA Schweiz als kostenlose Mustervorlage zur Verfügung.

Das korrekte Ausfüllen des Auftragsverarbeitungsvertrags Schweiz erfordert folgende Schritte:

Schritt 1 - Identifikation des Auftragsverarbeitungsverhältnisses. Prüfen Sie zunächst, ob tatsächlich ein Auftragsverarbeitungsverhältnis nach DSG Art. 9 vorliegt: Handelt der Dritte nach Weisungen des Unternehmens und ausschliesslich für dessen Zwecke? Dann ist er Auftragsverarbeiter. Hat der Dritte eigene Zwecke und entscheidet selbst über die Mittel der Bearbeitung? Dann ist er selbst Verantwortlicher oder gemeinsam Verantwortlicher (sog. Joint Controller nach DSG Art. 12 Abs. 3). Die Abgrenzung ist für die Anwendbarkeit des Auftragsverarbeitungsvertrags Schweiz entscheidend. Für Joint-Controller-Verhältnisse ist stattdessen eine gesonderte Vereinbarung nach DSG Art. 12 Abs. 3 erforderlich.

Schritt 2 - Beschreibung der Datenbearbeitung. Dokumentieren Sie präzise: Welche Personendaten werden bearbeitet (Kontaktdaten, Transaktionsdaten, Gesundheitsdaten, biometrische Daten)? Welche Kategorien betroffener Personen sind betroffen (Kunden, Mitarbeitende, Lieferanten)? Was ist der Zweck der Bearbeitung (Lohnverarbeitung, CRM, Archivierung)? Wie lange werden die Daten bearbeitet? Diese Angaben sind Pflichtinhalt nach DSG Art. 9 Abs. 1. Nutzen Sie das Verzeichnis der Bearbeitungstätigkeiten nach DSG Art. 12 als Ausgangsbasis für die Beschreibung im Auftragsverarbeitungsvertrag Schweiz.

Schritt 3 - Prüfung auf besonders schützenswerte Personendaten. Ermitteln Sie, ob besonders schützenswerte Personendaten nach DSG Art. 5 lit. c bearbeitet werden: Gesundheitsdaten, genetische Daten, biometrische Daten, Daten über religiöse oder weltanschauliche Ansichten, Daten über politische Meinungen, Strafregister- und Betreibungsdaten. Bei solchen Daten sind erhöhte Sicherheitsmassnahmen (z.B. Ende-zu-Ende-Verschlüsselung, strikte Zugriffsbeschränkung) im Auftragsverarbeitungsvertrag Schweiz zu vereinbaren und eine DSFA nach DSG Art. 22 ist häufig zwingend erforderlich.

Schritt 4 - Festlegung von Rechenzentrum und Datentransferregelungen. Bestimmen Sie im Auftragsverarbeitungsvertrag Schweiz, wo die Daten gespeichert und verarbeitet werden. Bei Verarbeitung ausserhalb der Schweiz: Prüfen Sie, ob das Empfängerland ein angemessenes Datenschutzniveau nach DSG Art. 16 Abs. 1 bietet (Liste des EDÖB unter edoeb.admin.ch). Falls nicht: Vereinbaren Sie geeignete Garantien nach DSG Art. 16 Abs. 2, insbesondere Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914) oder äquivalente Schweizer Instrumente. Für die USA: Das EU-US Data Privacy Framework und der Swiss-US Privacy Framework bieten eine anerkannte Rechtsgrundlage.

Schritt 5 - Subauftragsverarbeiter identifizieren und genehmigen. Erfassen Sie alle Subauftragsverarbeiter: Rechenzentrum-Anbieter (z.B. AWS eu-central-1, Azure West Europe, Google Cloud europe-west6 Zürich), Subdienstleister, Drittanbieter-APIs. Holen Sie die Zustimmung des Verantwortlichen ein und stellen Sie sicher, dass alle Subauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie der Auftragsverarbeiter selbst. Führen Sie eine aktualisierte Liste der genehmigten Subauftragsverarbeiter als Anhang zum Auftragsverarbeitungsvertrag Schweiz und informieren Sie den Verantwortlichen bei Änderungen mindestens 30 Tage im Voraus.

Schritt 6 - Datenpannen-Meldeverfahren etablieren. Definieren Sie klare Meldeverfahren bei Datenpannen: Innert 24 Stunden nach Bekanntwerden Meldung an den Verantwortlichen (per E-Mail an benannte Ansprechperson oder via Ticketing-System), mit Angabe von Art der Verletzung, betroffenen Datenkategorien, Personenanzahl, wahrscheinlichen Folgen und ergriffenen Sofortmassnahmen. Der Verantwortliche hat nach DSG Art. 24 Abs. 1 eine 72-Stunden-Frist zur Meldung an den EDÖB, wenn die Datenpanne voraussichtlich zu einem hohen Risiko für betroffene Personen führt. Definieren Sie eine Notfall-Kontaktkette für ausserhalb der Bürozeiten.

Der Auftragsverarbeitungsvertrag Schweiz muss den folgenden zwingenden Anforderungen entsprechen:

DSG Art. 9 - Auftragsverarbeitung. DSG Art. 9 schreibt zwingend vor: Der Auftragsverarbeiter darf Personendaten nur auf Weisung des Verantwortlichen bearbeiten. Der Auftragsverarbeitungsvertrag Schweiz muss schriftlich oder in einem anderen gleichwertigen elektronischen Format abgeschlossen werden. Er muss regeln: Gegenstand und Dauer der Bearbeitung, Art und Zweck der Bearbeitung, Art der Personendaten, Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen. Ohne DSG-konformen DPA verletzt der Verantwortliche seine Pflichten nach DSG Art. 9, was zu Massnahmen des EDÖB nach DSG Art. 49-51 führen kann, darunter verbindliche Verfügungen zur Beendigung der Bearbeitung.

DSG Art. 8 und DSV Art. 1-4 - Datensicherheit. Der Auftragsverarbeiter ist nach DSG Art. 8 verpflichtet, durch geeignete TOM die Sicherheit der Personendaten zu gewährleisten. Die Datenschutzverordnung (DSV, SR 235.11) konkretisiert in Art. 1-4 die Anforderungen: Aufzeichnung der Bearbeitungstätigkeit, besondere Sorgfalt bei der Bearbeitung durch technische Systeme (z.B. automatisierte Profilerstellung), Massnahmen zur Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit. Der EDÖB hat in Leitlinien konkretisiert, was als «angemessene» Massnahmen gilt: ISO 27001-Zertifizierung ist ein anerkannter Nachweis.

DSG Art. 16 - Datenübermittlung ins Ausland. Personendaten dürfen an Empfänger in einem Drittstaat (ausserhalb Schweiz, EU/EWR) nur übermittelt werden, wenn der betreffende Staat ein angemessenes Datenschutzniveau gewährleistet (Liste des EDÖB) oder geeignete Garantien bestehen (DSG Art. 16 Abs. 2): Standardvertragsklauseln der EU-Kommission oder äquivalente Schweizer Instrumente, verbindliche interne Datenschutzvorschriften (BCR), genehmigter Verhaltenskodex, Swiss-US Privacy Framework für USA. Ohne geeignete Grundlage ist die Übermittlung nach DSG Art. 16 Abs. 1 unzulässig.

DSG Art. 22-24 - DSFA und Datenpannen. Bei Bearbeitungen mit hohem Risiko ist eine DSFA nach DSG Art. 22 durch den Verantwortlichen durchzuführen. Der Auftragsverarbeitungsvertrag Schweiz muss die Unterstützungspflicht des Auftragsverarbeiters regeln. Datenpannen sind nach DSG Art. 24 dem EDÖB innert 72 Stunden zu melden, wenn voraussichtlich ein hohes Risiko für betroffene Personen besteht. Betroffene Personen sind nach DSG Art. 24 Abs. 4 zu benachrichtigen, wenn es zum Schutz ihrer Interessen erforderlich ist.

DSG Art. 60-66 - Sanktionen. Vorsätzliche Verstösse gegen DSG-Pflichten können mit Bussgeldern bis CHF 250'000.- geahndet werden. Bussgelder richten sich gegen natürliche Personen (Mitglieder der Unternehmensleitung, die für den Verstoss verantwortlich sind), nicht gegen juristische Personen — dies unterscheidet das Schweizer DSG wesentlich vom DSGVO-Regime, bei dem Bussgelder bis 4 Prozent des weltweiten Jahresumsatzes oder 20 Mio. EUR gegen das Unternehmen verhängt werden können. Schweizer Unternehmen mit EU-Kundendaten müssen beide Regimes einhalten. Bei Verstössen durch Unternehmen bis 50 Mitarbeitende kann der EDÖB nach DSG Art. 49 Abs. 3 von einer Strafverfolgung absehen, wenn das Unternehmen die notwendigen Massnahmen zur Behebung des Verstosses unverzüglich einleitet und vollständig kooperiert — ein wichtiger Anreiz, Datenschutzmängel proaktiv zu adressieren.

Die häufigsten Fehler beim Auftragsverarbeitungsvertrag Schweiz führen zu Datenschutzverletzungen oder rechtlicher Unsicherheit:

Fehler 1 - Kein DPA vor Aufnahme der Datenbearbeitung. Der häufigste Fehler ist der fehlende Abschluss des Auftragsverarbeitungsvertrags Schweiz vor Aufnahme der Datenbearbeitung. In der Praxis wird oft vergessen, für etablierte Dienste (Google Workspace, Microsoft 365, Dropbox) einen formellen DPA abzuschliessen — obwohl alle diese Anbieter DPAs für Schweizer Kunden bereitstellen. Ohne DPA verletzt das Unternehmen DSG Art. 9, selbst wenn die technischen Sicherheitsmassnahmen des Anbieters einwandfrei sind. forms-legal.com stellt eine nDSG-konforme Mustervorlage bereit, die als Verhandlungsgrundlage genutzt werden kann.

Fehler 2 - Vergessen der Subauftragsverarbeiter. Viele Auftragsverarbeitungsverträge Schweiz regeln nur die direkte Beziehung zwischen Verantwortlichem und Auftragsverarbeiter, vergessen aber die Subauftragsverarbeiterkette. Ein Cloud-SaaS-Anbieter nutzt typischerweise AWS, Azure oder Google Cloud als Rechenzentrum — diese sind Subauftragsverarbeiter. Ohne deren Erfassung im DPA fehlt ein wesentliches Element nach DSG Art. 9 Abs. 2 lit. d. Verlangen Sie eine vollständige Subverarbeiterliste (mit Standort und Rechtsgrundlage für Datentransfer) und aktualisierte Benachrichtigung bei Änderungen mit mindestens 30 Tagen Vorlaufzeit und Sonderkündigungsrecht.

Fehler 3 - Unzureichende Datenpannen-Regelung. Viele Auftragsverarbeitungsverträge Schweiz enthalten zwar eine Meldepflicht bei Datenpannen, lassen aber die konkrete Umsetzung offen: Wie erfolgt die Meldung (E-Mail? Ticketing-System? Telefonisch)? Wer ist Ansprechpartner auch ausserhalb der Bürozeiten? Welche Informationen muss die Meldung enthalten? Ohne klare Regelung verzögert sich die Meldekette und der Verantwortliche kann die 72-Stunden-Meldefrist an den EDÖB nach DSG Art. 24 nicht einhalten. Definieren Sie eine 24-Stunden-Meldepflicht mit konkreter Meldekette und vorgegebenem Mindestinhalt der Erstmeldung.

Fehler 4 - Fehlendes Auditrecht. Ohne explizite Auditklausel im Auftragsverarbeitungsvertrag Schweiz hat der Verantwortliche keinen vertraglichen Anspruch auf Prüfung der Datenschutzmassnahmen des Auftragsverarbeiters. Der EDÖB erwartet, dass Verantwortliche die Einhaltung der Pflichten ihrer Auftragsverarbeiter regelmässig kontrollieren. Vereinbaren Sie: mindestens ein jährliches Audit (oder Vorlage eines aktuellen ISO 27001-Zertifikats oder SOC 2 Typ II-Berichts) mit schriftlicher Ankündigung 14 Tage im Voraus, Vertraulichkeit der Auditergebnisse, Recht auf unangemeldete Audits bei begründetem Verdacht auf Datenschutzverletzung.

Fehler 5 - Unzureichende Regelung der Datenrückgabe und -löschung. Nach Beendigung des Auftragsverarbeitungsvertrags Schweiz sind alle Personendaten zurückzugeben oder zu löschen. Ohne präzise Regelung entstehen Streitigkeiten über Format und Frist der Rückgabe, Nachweis der vollständigen Löschung und Umgang mit Datenkopien in Backup-Systemen. Vereinbaren Sie: Export-Format (CSV, JSON, XML), Exportfrist (30 Tage nach Vertragsende), schriftliche Löschbestätigung mit Angabe der gelöschten Systeme, explizite Regelung für Backup-Daten (nach 90 Tagen auch aus allen Backups gelöscht). Ohne diese Regelung sind Backup-Daten häufig für Monate oder Jahre beim Auftragsverarbeiter gespeichert — was DSG Art. 9 Abs. 2 lit. g widerspricht.

Fehler 6 - Fehlende Datentransfer-Regelung für Cloudanbieter. Viele Unternehmen vergessen zu prüfen, ob ihr Auftragsverarbeiter Daten an Rechenzentren im Drittland (z.B. USA) weitergibt. Ohne geeignete Garantien nach DSG Art. 16 Abs. 2 (EU-Standardvertragsklauseln, Swiss-US Privacy Framework) ist diese Übermittlung rechtswidrig. Verlangen Sie im Auftragsverarbeitungsvertrag Schweiz eine vollständige Offenlegung aller Drittlandtransfers und der jeweiligen Rechtsgrundlage.